制御システムセキュリティセンターにおける 標準化・評価認 …control system...
TRANSCRIPT
![Page 1: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/1.jpg)
Control System Security Center
制御システムセキュリティセンターにおける標準化・評価認証に関する取組み
2012年11月16日技術研究組合 制御システムセキュリティーセンター評価認証・標準化委員会
1
セキュアな制御システムを世界へ未来へ
![Page 2: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/2.jpg)
Control System Security Center
アジェンダ
制御システムセキュリティーセンター(CSSC)について–CSSC設立の背景–組織のご紹介–活動・取組みの概要
制御システム関連セキュリティ規格の動向– IEC62443規格– ISASecure認証– IEC62443とEDSAの関係
CSSCにおける規格認証のための取組み– IPAとISCIの相互協力–EDSA認証スキームへの日本参画構想–想定スケジュール案
2
![Page 3: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/3.jpg)
Control System Security Center
制御システムセキュリティセンター(CSSC)について
• CSSC設立の背景• 組織のご紹介
• 活動・取組みの概要
3
セキュアな制御システムを世界へ未来へ
![Page 4: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/4.jpg)
Control System Security Center
CSSC設立の背景
4
サイバーセキュリティと経済研究会(経済産業省) 2010/12~
<概要>
サイバー攻撃により、知的財産やライフラインを狙った事案や企業等の機密漏えいが多発している状況 から、ITの安全確保によって守るべき対象が経済活動や国民生活に直接関わる分野へ質的に変化して いることを鑑み、経済の成長・安全保障の観点から、必要な情報セキュリティ政策を検討。
◇主な検討項目
・標的型サイバー攻撃への対応
・制御システムの安全性確保
・情報セキュリティ人材の育成
制御システムセキュリティ検討タスクフォース(経済産業省)
2011/10~<概要>左記研究会の検討に基づき、主に以下の2点における制御システムセキュリティについての施策の実施検討。
◇日本国内のICSセキュリティ確保◇ICSの海外輸出のための評価認証
<タスクフォースに配置するWG>・標準化WG ・評価・認証制度WG ・インシデントハンドリングWG・テストベッドWG・人材育成WG・普及啓発WG
ICS:Industrial Control Systems
![Page 5: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/5.jpg)
Control System Security Center
制御システムセキュリティ検討タスクフォース
5
技術研究組合制御システムセキュリティセンター
ステアリングコミッティが全体戦略の策定、各WGの調整作業に専念。 標準化、評価・認証制度、テストベッド、人材育成、普及啓発については別途WGにて検討。
ステアリングコミッティー
タスクフォース
標準化WG 評価・認証制度WG
インシデントハンドリングWG テストベッドWG 人材育成WG
タスクフォースが円滑に進むための調整機能タスクフォースのための戦略立案各WGの調整
IEC62443 評価ツールの検討国際相互認証
脆弱性・インシデントレス体制国際連携
テストベッドの構築準備
人材育成方法の検討
普及啓発WG
普及啓発方法の検討ビジネスモデルの検討事業主体の検討
全体方針・戦略の決定
![Page 6: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/6.jpg)
Control System Security Center
制御システムにおける情報セキュリティ事故の被害例(海外)
6
![Page 7: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/7.jpg)
Control System Security Center
組織のご紹介
7
設立日 2012年3月6日(登録完了日)
理事長 新 誠一(国立大学法人電気通信大学 教授)
組合員(50音順)
•全13組織(2012年11月1日現在)アズビル株式会社 (旧社名:株式会社山武)、NRIセキュアテクノロジーズ株式会社、オムロン株式会社、独立行政法人産業技術総合研究所、独立行政法人情報処理推進機構、株式会社東芝、株式会社トヨタIT開発センター、株式会社日立製作所、富士電機株式会社、三菱重工業株式会社、株式会社三菱総合研究所、森ビル株式会社、横河電機株式会社
所在地
■本部 〒135-0064 東京都江東区青海2-4-7(独立行政法人産業技術総合研究所臨海副都心センター別館8F)
■テストベッド(構築中) 〒985-0842 宮城県多賀城市桜木3-4-1 (みやぎ復興パーク内)
CSSCの概要 CSSCの目的
重要インフラの制御システムのセキュリティを確保するため、研究開発、国際標準化活動、認証、人材育成、普及啓発、各システムのセキュリティ検証にいたるまで一貫して業務を遂行する
• 制御システムにおける高セキュア化技術の研究開発• 広域連携システムにおける高セキュアシステム技術の研究開発
• システムセキュリティ検証技術の研究開発• 国際連携• 制御セキュリティテストベッドの研究開発
![Page 8: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/8.jpg)
Control System Security Center
CSSCの組織体制
8
委員会 活動内容
研究開発・テストベッド委員会
制御システムセキュリティに関連する研究開発およびテストベッド構築の方向性を定め、研究開発およびテストベッド利活用を推進する。
評価認証・標準化委員会
制御システムセキュリティに係わる評価認証および標準化の戦略および施策について検討し、評価認証・標準化のためのテストベッドの利活用を推進する。
インシデントハンドリング委員会
制御システムにおけるセキュリティインシデント発生に対する備えおよびセキュリティインシデント発生時の対応を含めたインシデントハンドリングに必要な技術開発の方向性を検討する。
普及啓発・人材育成委員会
技術研究組合としての制御システムセキュリティの普及啓発・人材育成の方向を定め、テストベッドを活用した普及啓発・人材育成を推進する。
運営委員会のもと、以下の4つの委員会が活動
・研究開発テストベッド委員会・評価認証・標準化委員会・インシデント・ハンドリング委員会・普及開発・人材育成委員会
![Page 9: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/9.jpg)
Control System Security Center
CSSCの所在地
9
• テストベッドみやぎ復興パーク(SONYの工場の一角)内に複数の模擬プラントを設置予定- PA- FA- BA- 発電、変電- ガス
• テストベッドみやぎ復興パーク(SONYの工場の一角)内に複数の模擬プラントを設置予定- PA- FA- BA- 発電、変電- ガス
みやぎ復興パーク内
お台場産業技術総合研究所
臨海副都心センター別館8F• 本部• 本部
![Page 10: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/10.jpg)
Control System Security Center
模擬プラントの完成イメージ
10
![Page 11: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/11.jpg)
Control System Security Center
活動・取組みの概要
11
5つの研究開発方針 8つの事業計画
• 制御システムのセキュリティ確保に資する研究開発の遂行• テストベッドの構築• 普及啓発・人材育成の推進• インシデントハンドリングのサポート• 国際標準化活動と評価認証事業の立上げ
![Page 12: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/12.jpg)
Control System Security Center
制御システム関連セキュリティ規格の動向
• IEC62443規格• ISASecure認証• IEC62443とEDSAの関係
12
セキュアな制御システムを世界へ未来へ
![Page 13: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/13.jpg)
Control System Security Center
IEC62443規格
制御システムのセキュリティの標準・基準には、組織やシステムのレイヤに対応したもの、業種や業界に対応したものなど、様々な標準・基準が提案されている。こうした中で、汎用的な標準・基準として、IEC62443が注目されてきており、一部事業者の調達要件に挙がってきている。業界で評価認証が先行しているISCIやWIBの基準が、IEC62443のシリーズに統合される動きとなっている。
13
標準化対象
汎用制御システム
電力システム
スマートグリッド
鉄道システム
石油・化学プラント
組 織
システム
コンポーネント
技術(暗号プロトコル、他)
IEC62443
ISO/IEC29192
ISO/IEC62278
NERCCIP
NISTIR7628
WIB
IEEE1686
IEC62351
IEC61850
IEEE2030
国際標準
業界標準
凡 例
ISCI
![Page 14: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/14.jpg)
Control System Security Center
IEC62443の対応範囲 ~運用・管理・製造・技術の観点から~
14
![Page 15: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/15.jpg)
Control System Security Center
IEC62443の全体像
IEC62443は制御システムセキュリティの全レイヤとプレイヤをカバーしている。先行する評価認証の規格(ISCI,WIB)がIEC62443に統合される方向である。
1515
IEC62443‐4コンポーネント・デバイス
IEC62443‐3技術・システム
IEC62443‐1
IEC62443‐2管理・運用・プロセス
標準化 評価・認証
装置ベンダ
インテグレータ
事業者
・WIB(オランダにある国際装置ユーザー協会が提供する規格)
・ISCI:ISASecure(EDSA)・Wurldtec AchillesM
制御情報ネットワーク
コントロールネットワーク
センサバス
ファイアウォール
生産管理サーバ
PLC
HMI
PLC
PIMS
センサ・アクチュエータなど
情報ネットワーク
DCS/Slave
フィールドネットワーク
EWS DCS/Master
![Page 16: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/16.jpg)
Control System Security Center
IEC62443規格化の状況(2012.3時点)
12レイヤ中、3つが規格化済み、他の規格については、国内意見の反映可能。
16
![Page 17: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/17.jpg)
Control System Security Center
ISASecure認証
国際計測制御学会ISA(International Society of Automation)の計測制御標準適合性機構ASCI(Automation Standards Compliance Institute)のもとで設立されたコンソーシアム(ISCI)による民間認証2つの認証プログラムを定義:EDSAとSSA
17
※SSA(System Security Assurance)は現在策定作業中
![Page 18: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/18.jpg)
Control System Security Center
ISASecure Embedded Device Security Assurance (EDSA) Program
コンポーネントの認証3種類の評価
– CRT(Communication Robustness Testing)通信レベルでのテスト
– FSA(Function Security Assessment)セキュリティ機能のアセスメント
– SDSA(Software Development Security Assessment)ソフト開発プロセスのアセスメント
評価項目の数によって3段階の認証レベルを規定
18
![Page 19: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/19.jpg)
Control System Security Center
EDSAの評価対象
産業プロセスを直接,監視,制御,及び駆動するよう設計された組込みソフトウェアを実行する特定目的を持ったデバイス(コンポーネント)例:
– Programmable Logic Controller (PLC)– Distributed Control System (DCS) controller– Safety Logic Solver– Programmable Automation Controller (PAC)– Intelligent Electronic Device (IED)– Digital Protective Relay– Smart Motor Starter/Controller– SCADA Controller– Remote Terminal Unit (RTU)– Turbine controller– Vibration monitoring controller– Compressor controller
19
![Page 20: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/20.jpg)
Control System Security Center
通信ロバストネス評価(CRT)
20
コンポーネントのネットワークプロトコル実装が,ネットワークから受信した異常な又は意図的な悪意のトラフィックに対して,自分自身及び他のデバイス機能を防御する程度を測定する。
不適切なメッセージ応答,又はデバイスが重要サービスを適切に実行継続できないと,デバイス内部の潜在的なセキュリティ脆弱性の存在を示している。CRT要求事項
–CRT Common (EDSA‐310)–CRT ”Ethernet” (EDSA‐401)–CRT ARP (EDSA‐402)–CRT IPv4 (EDSA‐403)–CRT ICMP (EDSA‐404)–CRT UDP (EDSA‐405)–CRT TCP (EDSA‐406)
![Page 21: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/21.jpg)
Control System Security Center
機能セキュリティアセスメント(FSA)
コンポーネントが共通のセキュリティ脅威に対抗するのに必要な最低限のセキュリティ特性を織込んでいることの検証と、その妥当性を確認する。
FSA要求事項(主なもの)
21
出典:ICSJWG Spring 2011, (ASCI)「Validating the Security Assurance of Industrial Automation Products
![Page 22: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/22.jpg)
Control System Security Center
ソフトウエア開発セキュリティアセスメント(SDSA)
評価対象がセキュリティ脆弱性になり得るソフトウェアエラーを最小化にすべく、適切な工学実践を守り開発されたことの実証と妥当性確認
SDSA要求事項(主なもの)
22
出典:ICSJWG Spring 2011, (ASCI)「Validating the Security Assurance of Industrial Automation Products
![Page 23: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/23.jpg)
Control System Security Center
FSAとSDSAの参照規格
FSAの主な参照規格
23
SDSAの主な参照規格
[N1] ISA-99.01.03D2-20090527 産業自動制御システム向けセキュリティ:システムセキュリティ要件とセキュリティ保証レベルISA-99.01.03
[N2] NERC 規格 CIP-001-1 ~ CIP-001-9 North American Electric Reliability Council Cyber Security Standards
[N3] NIST 800-53連邦情報システムのための推奨されたセキュリティ制御
Recommended Security Controls for Federal Information Systems
[N4] ISO/IEC 15408-1 ~ 15408-3 情報技術ーセキュリティ技術ーITセキュリティ用評価基準ーPart1~Part3
[N5]
国土安全保障省:制御システムセキュリティのカタログ:規格策定者のための推奨事項
Department of Homeland Security: Catalog of Control Systems Security: Recommendations for Standards Developers
ISO/IEC 15408-1 ~ 15408-3情報技術セキュリティ技術
ITセキュリティ評価基準 Part1~Part3
IEC 61508 Part 3電気/電子/プログラマブル電子的安全関連システムの
機能安全:ソフトウェア開発
出典:ICSJWG Spring 2011, (ASCI)「Validating the Security Assurance of Industrial Automation Products
![Page 24: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/24.jpg)
Control System Security Center
EDSA認証スキーム(現状)
24
▇▇評価・認証機関:製品を評価し,ISASecure認証を発行する機関■認定機関:評価・認証機関を審査し,認定する機関■テストツールベンダ:評価・認証機関で使用されるツールを提供する企業
![Page 25: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/25.jpg)
Control System Security Center
IEC62443とEDSAの関係
25
M
制御情報ネットワーク
コントロールネットワーク
センサバス
ファイアウォール
生産管理サーバ
PLC
HMI
PLC
PIMS
センサ・アクチュエータなど
情報ネットワーク
DCS/Slave
フィールドネットワーク
EWS DCS/Master
EDSA認証Software Development
Security Assessment(SDSA)Functional SecurityAssessment(FSA)Communications
Robustness Testing(CRT)
EDSAの「SDSA」、「FSA」の要求事項がほぼ同内容で
IEC62443‐4‐1、IEC62443‐4‐2
へそれぞれ提案されている
![Page 26: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/26.jpg)
Control System Security Center
CSSCにおける規格認証のための取組み• IPAとISCIの相互協力• EDSA認証スキームへの日本参画構想• 想定スケジュール案
26
セキュアな制御システムを世界へ未来へ
![Page 27: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/27.jpg)
Control System Security Center
IPAとISCIの相互協力
27
![Page 28: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/28.jpg)
Control System Security Center
EDSA認証スキームへの日本参画構想
ISCIへの提案を実施済み
28
![Page 29: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/29.jpg)
Control System Security Center
評価体制の整備
29
![Page 30: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/30.jpg)
Control System Security Center
想定スケジュール案
30
![Page 31: 制御システムセキュリティセンターにおける 標準化・評価認 …Control System Security Center 制御システムセキュリティ検討タスクフォース](https://reader034.vdocuments.net/reader034/viewer/2022050500/5f931dffa530dc146529d4af/html5/thumbnails/31.jpg)
Control System Security Center
まとめ
CSSCではISASecureのEDSAに準拠した認証スキームの確立を目指しています。
そのために必要な評価環境の構築や評価手順書の作成などに取り組んでいます。
31
以上、ご清聴ありがとうございました。
セキュアな制御システムを世界へ未来へ